rabbitstack/fibratus
این ابزار یک سیستم تشخیص تهدیدات پیشرفته در محیط‌های ویندوز است که به کشف فعالیت‌های مخرب، جلوگیری از آنها و انجام تحقیقات امنیتی (hunting) کمک می‌کند. ️
کاربرد:
این ابزار برای نظارت بر رویدادهای سیستم عامل در سطح هسته (kernel) طراحی شده و می‌تواند فعالیت‌هایی مثل اجرای فایل، تغییر رجیستری، ایجاد فرآیند جدید، استفاده از APIهای خطرناک و سایر رفتارهای مشکوک را رصد کند. ️️
در چه شرایطی بهتره استفاده شود؟
وقتی نیاز داری به عمق بیشتری از داده‌های سیستمی دسترسی داشته باشی، مثلاً در محیط‌های امنیتی که باید تهدیدات APT یا malwareهای پیشرفته را کشف کنی. همچنین برای تیم‌های SOC و تحلیلگران امنیتی که می‌خواهند hunting انجام بدن، بسیار مناسبه.
چند مثال از موارد استفاده:
- تشخیص اجرای فایل‌های مخفی یا بدون مسیر مشخص
- شناسایی تغییرات غیرعادی در رجیستری ویندوز (مثل Run Keys)
- کشف استفاده از APIهای مرتبط با code injection یا process hollowing
- نظارت بر ارتباطات شبکه‌ای فرآیندها در سطح سیستم
- ردیابی فعالیت‌های PowerShell یا WMI که ممکنه توسط مهاجمان سوءاستفاده شن
- ##threat
- ##malware
- ##windows
- ##cybersecurity
- ##edr
- ##incident
- ##sysmon
- ##kernel
- ##red
- ##blue